La seguridad de millones de páginas web se ha visto comprometida tras la divulgación de dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados en el desarrollo web. Los fallos han provocado una alerta internacional y han llevado a organismos de ciberseguridad a recomendar la actualización inmediata de los servidores afectados.
PHP está presente en el 70,5 % de los sitios web cuyo lenguaje de programación se conoce, según datos de W3Techs de agosto de 2026. Su amplia utilización, especialmente en gestores de contenidos como WordPress, hace que estas vulnerabilidades puedan tener consecuencias para empresas, administraciones públicas y propietarios de tiendas online.
Dos fallos de seguridad con una gravedad de 9,2 sobre 10
Las dos vulnerabilidades han recibido una puntuación de 9,2 sobre 10 en el sistema CVSS, utilizado internacionalmente para evaluar la gravedad de los fallos de seguridad informática.
Tal y como informa 3CatInfo, organismos como la Agencia de Ciberseguridad de Estados Unidos (CISA), el FBI y CERT-EU han advertido del riesgo para los servidores que utilizan versiones vulnerables de PHP.
Estos fallos podrían permitir a un atacante comprometer aplicaciones web, modificar contenidos o acceder a información almacenada en los servidores, incluidos datos personales y registros de transacciones.
El alcance de un posible ataque dependerá de la configuración de cada sistema y de las condiciones necesarias para explotar las vulnerabilidades.
PHP publica actualizaciones de seguridad urgentes
El equipo de seguridad de PHP ha publicado nuevas versiones para corregir las vulnerabilidades detectadas y ha pedido a los administradores de sistemas que las instalen cuanto antes.
Las versiones indicadas en el aviso son:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
La recomendación es revisar la versión instalada en cada servidor y aplicar la actualización de seguridad correspondiente, previa comprobación de su compatibilidad con las aplicaciones y componentes utilizados.
En los casos en los que no sea posible actualizar inmediatamente, los organismos de ciberseguridad han llegado a recomendar la desconexión temporal de los servicios vulnerables como medida preventiva.
¿Cómo afectan estas vulnerabilidades a WordPress?
WordPress es uno de los gestores de contenidos más utilizados del mundo y funciona sobre PHP. Por este motivo, la alerta también afecta a los responsables de páginas corporativas, blogs y tiendas online desarrolladas con esta plataforma.
Sin embargo, utilizar WordPress no significa necesariamente que una página web haya sido comprometida. El riesgo depende, entre otros factores, de la versión de PHP instalada y de la exposición del servidor a los fallos detectados.
Para comprobar el estado de una instalación, es importante revisar varios aspectos:
- Versión de PHP: verificar con el proveedor de alojamiento qué versión utiliza la web y si dispone de los últimos parches de seguridad.
- Actualizaciones de WordPress: mantener actualizados el núcleo, los plugins y los temas instalados.
- Compatibilidad: comprobar que la actualización de PHP no provoque errores en las funcionalidades de la página.
- Copias de seguridad: disponer de una copia reciente antes de realizar cambios importantes.
- Supervisión: revisar posibles comportamientos anómalos y los registros de seguridad del servidor.
Estas comprobaciones son especialmente importantes en tiendas online y páginas que gestionan información personal de sus usuarios.
La alerta provoca medidas preventivas en varios países
La preocupación por estas vulnerabilidades ha llevado a distintas administraciones y organizaciones a adoptar medidas para proteger sus servicios digitales.
En Países Bajos y Bélgica se han desconectado temporalmente páginas web de instituciones públicas y otros organismos como medida preventiva. Por su parte, Alemania, Reino Unido y Japón han emitido advertencias para que los responsables de sistemas identifiquen las instalaciones vulnerables y apliquen las actualizaciones disponibles.
En España, el Instituto Nacional de Ciberseguridad (INCIBE) también ha alertado sobre la situación.
Además, Cloudflare, empresa especializada en infraestructura y seguridad de Internet, ha comunicado que ha observado intentos iniciales de explotación de las vulnerabilidades y que está reforzando sus medidas de mitigación.
La importancia de mantener actualizado el entorno del servidor
Este incidente pone de manifiesto que la seguridad de una página web no depende únicamente de actualizar su gestor de contenidos.
El lenguaje de programación, el servidor y el resto de componentes del entorno de alojamiento también requieren mantenimiento y actualizaciones periódicas.
En el caso de las empresas que utilizan WordPress o WooCommerce, resulta especialmente importante coordinar estas tareas con el proveedor de hosting o el responsable del mantenimiento web.
Aunque la existencia de una vulnerabilidad no implica que todas las páginas que utilizan PHP hayan sufrido un ataque, la publicación de fallos críticos exige actuar con rapidez para reducir su exposición y proteger la información de los usuarios.